#StablRStablecoinDepegsAfterExploit

Este é um exemplo clássico e doloroso de uma governança "apenas de nome" descentralizada que volta a prejudicar um projeto. Quando um protocolo usa uma multisig 1-de-3 para algo tão crítico como direitos de cunhagem, isso completamente anula o propósito de ter uma carteira multisig em primeiro lugar.

Aqui está uma análise do que deu errado, como o atacante extraiu os fundos e por que o "lucro" foi muito menor do que o valor facial dos tokens.

Como o Ataque Aconteceu

A exploração foi fundamentalmente uma falha na gestão de chaves, e não uma vulnerabilidade de código. Porque o contrato só exigia uma assinatura de três para executar transações, comprometer uma única chave privada deu ao atacante chaves completas do reino.

A Progressão do Ataque

Passo 1: Comprometimento e Tomada de Chave: O atacante obteve acesso a uma das três chaves privadas. Usando essa única assinatura, executou um comando de administrador para adicionar seu próprio endereço como proprietário e remover completamente os dois signatários legítimos restantes.

Passo 2: Cunhagem Não Garantida: Com controle total sobre o contrato de cunhagem, eles cunharam instantaneamente 8,35 milhões de USDR e 4,5 milhões de EURR sem fornecer qualquer garantia.

Passo 3: A Venda na DEX: O atacante correu para as exchanges descentralizadas (DEXs) para trocar os tokens não garantidos por Ethereum (ETH).

Slippage e Liquidez Fina: O Corte de $7,6 Milhões

O atacante cunhou um valor facial combinado de aproximadamente $10,4 milhões na paridade. No entanto, ele saiu com cerca de 1.115 ETH (aproximadamente $2,8 milhões).

Por que a discrepância tão grande? Liquidez fina.

Pools de stablecoins nas DEXs dependem de liquidez profunda para manter a precificação do formador de mercado automatizado (AMM). Como os pools StablR eram relativamente rasos, as ordens de venda massivas e súbitas do atacante sobrecarregaram completamente a liquidez disponível. Isso acionou uma slippage extrema, derrubando efetivamente o valor dos próprios tokens que ele tentava trocar durante a operação.

A Nuance Regulamentar (MiCA)

O que torna isso particularmente notável é o posicionamento do StablR como um emissor regulado na Europa, em conformidade com a MiCA. A regulamentação Markets in Crypto-Assets (MiCA) impõe regras rigorosas sobre reservas, requisitos de capital e auditorias.

No entanto, como apontou a firma de segurança Blockaid, as auditorias de conformidade regulatória padrão geralmente focam em reservas financeiras e estruturas legais, e não na segurança operacional técnica em tempo real (OpSec). A conformidade legal não equivale automaticamente a segurança criptográfica estrutural; uma estrutura multisig 1-de-3 é um ponto único de falha evidente, independentemente de quão conforme a empresa subjacente seja no papel.